Slo-Tech - Ker razvoj umetne inteligence prinaša nove izzive pri zagotavljanju verodostojnosti slik in drugih posnetkov, so se v preteklosti pojavili pozivi za obvezno označevanje tako ustvarjenih vsebin. A problema se je možno lotiti tudi z druge smeri. Canon, Nikon in Sony razvijajo tehnologijo, ki bo v slike vstavila digitalne podpise, ki bodo jamčili za njihovo avtentičnost.

Orodje Verify, ki ga uporablja več novinarskih hiš, podpirajo pa ga tudi proizvajalci fotoaparatov in druge tehnike, omogoča brezplačno preverjanje avtentičnosti posnetkov. Če ima slika digitalni podpis, stran to prikaže skupaj s podatki o datumu, lokaciji in drugih podrobnostih. Standard podpira tudi omenjena trojica proizvajalcev, kamer ki obvladujejo več kot 90 odstotkov trga.

Sony bo spomladi letos pripravil posodobitve firmwara, ki bodo prinesli digitalne podpise v fotoaparate SLR. Canon bo prav tako izdal prvi fotoaparat s podporo za digitalne podpise v začetku tega leta, podpo tudi Nikon. Poteka tudi razvoj...

Microsoft - Virusi so v zadnjih letih postali bolj dodelani in se skrivajo že v firmware, od koder jih je izjemno težko odstraniti, saj vztrajajo celo po ponovni namestitvi sistema ali menjavi diska. Hkrati je firmware izjemno močan vektor, ker ima običajno zelo široke privilegije, še več kakor jedro operacijskega sistema. Da bi zajezil širjenje tovrstnih virusov, je Microsoft z nekaj proizvajalci predstavil koncept računalnika z zaščitenim jedrom (secured-core PC). To je na nek način nujno, saj medtem ko ima Apple že dlje časa polni nadzor nad strojno in programsko opremo, Windows teče na najrazličnejših komponentah.

Novi vezni nabori iz Intela, AMD-ja in Qualcomma bodo podpirali novo tehnologijo. Računalnike s podporo zanjo bodo sestavljali Dell, Dynabook, HP, Lenovo, Panasonic in Microsoft Surface. Nekaj modelov je že napovedanih, denimo HP Elite Dragonfly. Tehnologija je naslednji korak od Windows Secure Boot, ki že obstaja. Ta ob zagonu preveri kriptografske podpise programske opreme in...

Slo-Tech - Prvo kolizijo v zgoščevalnem algoritmu SHA-1 so našli že leta 2005 in od tedaj je jasno, da uporaba SHA-1 ni več varna. Z leti so se napadi izboljševali, torej je bilo za izračun kolizije treba vse manj računske moči. Pred dvema letoma je Google pokazal, da je SHA-1 zlomljen tudi v praksi, saj so ustvarili dve očitno različni datoteki, ki sta imeli enako zgoščeno vrednost SHA-1.

Sedaj pa so raziskovalci iz Francije in Singapurja zabili še zadnji žebelj v krsto SHA-1, saj so pokazali, da je v praksi izvedljivo tudi iskanje kolizij z določeno predpono (chosen-prefix). To pomeni, da lahko skoraj poljubno izberemo podatke, ki jih pripnemo, pa bomo še vedno lahko ustvarili želeno zgoščeno vrednost. Dosedanje metode so terjale vsaj 2⁷⁷ izračunov SHA-1, sedaj pa jih lahko...

The Register - Raziskovalci varnostnega podjetja Check Point Research so preiskali zanimivo in obsežno kampanjo t. i. malvertisinga - gre za napade na uporabnike s pomočjo oglasov, ki v sebi skrivajo zlobno kodo. Ta se je raztezala od kriptominerjev, ransomwara, keyloggerjev, pa do običajnih trojancev. Na teden so tako uspešno okužili do 40.000 različnih naprav. Še bolj zanimivo je dejstvo, da so napadalci sami plačevali za objavo okuženih oglasov, namreč, z izsiljevanjem in drugimi negativnimi posledicami njihovega početja, so zaslužili več kot dovolj, da so redno oddajali višje ponudbe od drugih oglaševalcev. In kar je najlepše, na ta način so denar v spletnem oglaševalskem sistemu tudi oprali oz. vsaj delno zabrisali sledi za njegovim kriminalnim izvorom.

Veriga se je...

Slo-Tech - Zgostitveni algoritmi danes tvorijo osnovo varnosti na internetu. Uporabljajo se za zaščito gesel (hramba v obliki kontrolne vsote), kot pseudonaključni generator števil, pri generiranju naključnih imen datotek, za preverjanje integritete pri prenosu datotek (npr. v P2P omrežjih), za preverjanje integritete arhivskih datotek (tim. checksum), pri implementaciji digitalnega podpisa, časovnega žigosanja, overovitvi digitalnih potrdil, za digitalno podpisovanje datotek, gonilnikov ter seveda pri digitalni forenziki. Iz vsega tega je jasno, da morajo biti algoritmi za izračun kontrolnih vsot karseda varni.

To ne velja več za algoritem SHA-1.

Skupina raziskovalcev iz CWI Amsterdam in Google Research je namreč te dni objavila rezultate svoje raziskave, ki je pokazala, da...

Microsoft - Algoritem RC4 je ena izmed najstarejših tokovnih šifer, ki se še vedno uporablja v starih verzijah protokola TLS in WEP. V RC4 so odkrili že številne ranljivosti, zato je njegova uporaba odsvetovana in se opušča. Raziskovalci so odkrili številne pomanjkljivosti, ki skupaj z naraščanjem računske moči omogočajo praktično izvedbo napadov na RC4. Recimo šifriranje WEP v brezžičnih usmerjevalnikih je že dlje časa mogoče zlomiti sorazmerno hitro (v manj kot dnevu). Obstajajo celo...

Heise - Ameriški Nacionalni institut za standarde in tehnologijo (NIST) je leta 2007 razpisal natečaj za matematični algoritem, ki bo postal temelj naslednje verzije zgostitvene funkcije SHA-3. Za staro SHA-1 je bilo pred dvema letoma pokazano, da ni varna in da so kolizije mogoče, medtem ko je SHA-2 grajena na SHA-1 in zato tudi vzbuja pomisleke. V petek so objavili pet kandidatov, ki so prebili skozi prvi dve fazi in so sedaj v zaključnem stadiju izbiranja.

V finalu so algoritmi BLAKE, Skein (ta dva sta podobna SHA-2), Grøstl, JH in Keccak (fundamentalno različen pristop od SHA-2). Pri izboru zmagovalca bodo gledali na več odlik: pomembna bosta tako zgledna struktura in stabilnost kakor...

Slo-Tech - Nemškim raziskovalcem je uspel nov preboj na področju zgoščevalnih funkcij. Pozimi se je začelo z nekaj teoretičnimi prebliski in končalo z metodo za generiranje certifikatov X.509, med katerimi lahko prosto prenašamo podpise, ker imajo zgoščeni z funkcijo MD5 enako vrednost (zaradi nekaterih težav z ohranjanjem tajnosti zasebnih ključev, če lahko napadalec izbere besedilo, ki ga bomo podpisali, se vedno podpisuje kratek niz znakov, dobljen iz dokumenta s kriptografsko zgoščevalno funkcijo in ne dokumenta samega).

V vmesnem času je raziskovalcem kar nekaj zgoraj omenjenih metod uspelo v rahlo modificirani obliki uporabiti tudi za igranje z zgoščevalno funkcijo SHA1.

V zadnjih dneh pa je bila celotna zgodba dvignjena na popolnoma nov nivo. Raziskovalcem je namreč uspelo ustvariti dva smiselna dokumenta z enako MD5 vrednostjo (torej lahko zanju uporabimo isti elektronski podpis).

Glede na to da sta algoritma MD5 in SHA-1 le majhna popravka algoritma MD4, lahko v bližnji...

Slashdot - Bruce Schneier v svojem blogu poroča, da naj bi kitajski raziskovalci Xiaoyun Wang, Yiqun Lisa Yin in Hongbo Yu uspeli najti kolizijo v SHA-1 funkciji.

To pomeni, da so raziskovalci našli dve različni sporočili, za kateri algoritem SHA-1 vrne isto vrednost, njihova metoda iskanja pa je veliko hitrejša kot metoda grobe sile, ki temelji na preiskušanju vseh možnih kombinacij.

To v praksi pomeni, da je mogoče npr. neko potrdilo banke tako prirediti, da bo izračun digitalnega podpisa pokazal, kot da je potrdilo poslala banka, čeprav bo le-to v resnici pa bo ponarejeno. Z drugimi besedami - razbitje SHA-1 je pomemben korak na poti k možnosti ponarejanja digitalnih podpisov.